PT-2026-21373
CVE-2025-14339
·
تاريخ النشر
2026-02-20
·
تاريخ التحديث
2026-02-21
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
weMail - مكون إضافي للتسويق عبر البريد الإلكتروني، وتوليد العملاء المحتملين، ونماذج الاشتراك، والنشرات الإخبارية عبر البريد الإلكتروني، واختبارات A/B، والأتمتة لـ WordPress، الإصدارات حتى 2.0.7
الوصف
يعاني المكون الإضافي weMail لـ WordPress من ثغرة تسمح بحذف النماذج دون إذن. تقوم الدالة
Forms::permission() بالتحقق من صحة رأس X-WP-Nonce بشكل غير صحيح، مما يؤدي إلى الفشل في التحقق من صلاحيات المستخدم. يمكن للزوار غير المصادق عليهم الوصول إلى nonce REST عبر كائن JavaScript weMail في الصفحات التي تحتوي على نماذج weMail. وهذا يسمح لأي مستخدم غير مصادق عليه بحذف جميع نماذج weMail نهائيًا عن طريق الحصول على الرمز العشوائي من شفرة المصدر للصفحة وإرسال طلب DELETE إلى نقطة نهاية النماذج: /wp-json/wemail/v1/forms. المعلمة المعرضة للخطر هي رأس X-WP-Nonce.التوصيات
قم بالتحديث إلى إصدار من المكون الإضافي weMail أحدث من 2.0.7.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾